Filtración de datos de Kickstarter de 2014

El registro externo de la filtración utiliza la fecha del 16 de febrero de 2014. El aviso de seguridad de Kickstarter confirma el incidente y las categorías de campos afectadas, pero no revela cuándo accedió el atacante al sistema por primera vez. Por tanto, la fecha del catálogo no debe interpretarse como la del acceso inicial. La empresa afirmó que no tenía pruebas de que se hubiera accedido a datos de tarjetas de crédito y que, en el momento del aviso, solo había observado actividad no autorizada en dos cuentas. Esa declaración limitada no significa que no se extrajeran datos ni descarta un uso indebido posterior.

Según la empresa, las contraseñas más antiguas utilizaban un valor de sal único y se sometían repetidamente a la función hash SHA-1, mientras que las más recientes utilizaban bcrypt. No eran contraseñas en texto plano, pero no debe suponerse que sean inmunes a los intentos de adivinarlas sin conexión. Los datos de tarjetas de crédito no se conservan como una categoría estructurada. También se omiten los nombres porque el conjunto de fuentes seleccionado no los incluye claramente como un campo general y verificado para este incidente.

La importación en producción, ya finalizada y limitada a direcciones de correo electrónico, procesó 5 169 669 líneas válidas y creó 5 169 660 asociaciones únicas de correo electrónico en el índice activo. El proceso local no importó nombres de usuario, contraseñas, números de teléfono ni direcciones postales, por lo que no se afirma que esos campos estén presentes junto con los correos en los datos locales. La cifra externa de correos únicos supera en 6 803 a la de asociaciones locales. No se han conciliado las diferencias de versión del conjunto de datos, normalización y deduplicación; no se atribuye la discrepancia a ninguna causa y las cifras no se suman.

El dominio actual de Kickstarter y el aviso sobre el incidente siguen disponibles. Una coincidencia de correo electrónico, por sí sola, no demuestra que una persona creara un proyecto, financiara una campaña concreta o tuviera campos de teléfono y dirección en los datos del incidente. Si cree que pudo haber reutilizado la misma contraseña en otro servicio, debería elegir una contraseña exclusiva para ese servicio. También puede utilizar las funciones actuales de autenticación de dos factores y de historial de acceso de Kickstarter. Los mensajes inesperados sobre la cuenta o los pagos deben verificarse accediendo por su cuenta al dominio oficial, en lugar de seguir el enlace del mensaje.